Full paper (pdf) - CDC

3.5.2 Eine Variante des Verfahrens
Das im vorigen Abschnitt geschilderte Verfahren hat einige Nachteile, die wir
hier diskutieren wollen. Abschließend stellen wir eine eigene Variante vor, die
zumindest zwei dieser Nachteile behebt.
• es existiert kein Sicherheitsbeweis für das vorgestellte Verfahren. In der
Tat wird es von Frankel, Gemmell, MacKenzie und Yung lediglich als
Heuristik bezeichnet [FGPY97]. Darauf aufbauend entwickeln sie noch
ein weiteres Verfahren, dessen Sicherheit auf das RSA-Verfahren zurückgeführt
werden kann, welches allerdings Interaktionen zwischen den Teilnehmern
benötigt, weshalb wir uns in dieser Arbeit nicht weiter damit
beschäftigen wollen. Trotz der fehlenden beweisbaren Sicherheit ist das
Verfahren von anderen Autoren aufgegriffen worden [MSY00] und wurde
zum Beispiel auch im Rahmen eines von der TU Darmstadt und der
japanischen Telefongesellschaft NTT gemeinsam entwickelten verteilten
RSA-Zeitstempeldienstes eingesetzt [ABF + 99].
• die Schlüsselanteile, die den Teilnehmern zugestellt werden, sind keine
normalen RSA-Schlüssel. Die Exponenten, die bei den partiellen RSA-
Berechnungen zum Einsatz kommen, sind aufgrund der Multiplikationen
zum Herstellen der Teilbarkeit um einige Bit länger als normale RSA-
Exponenten und aufgrund der Interpolationskoeffizienten teilweise auch
negativ. Beides erschwert den Einsatz von kryptographischen Bibliotheken
oder Hardwareimplementierungen für RSA-Berechnungen. Insbesondere
entfällt die Möglichkeit der sicheren Speicherung der Teilschlüssel auf
RSA-fähigen Chipkarten.
• zum Berechnen der Teilergebnisse müssen die Teilnehmer der Berechnung
bekannt sein (die Menge Λ). Wenn sich erst später herausstellt, daß einige
Teilnehmer nicht zur Verfügung stehen, müssen alle Teilnehmer die Berechnung
wiederholen. Das Problem vergrößert sich noch in Anbetracht
des nächsten Kritikpunktes.
• ein vorliegendes Teilergebnis läßt sich nicht auf Korrektheit überprüfen.
Ein fehlerhaftes Ergebnis wird erst nach der Kombination aller Teilergebnisse
erkannt, ohne daß allerdings bekannt wäre, welche der Teilergebnisse
zum Fehler geführt haben. Dies macht es sehr schwierig, einen fehlerhaft
arbeitenden Teilnehmer zu erkennen und auszuschließen.
In unserer Implementierung haben wir eine Variation des Verfahrens entwickelt,
bei der den Teilnehmern gewöhnliche RSA-Schlüssel zugeteilt werden,
mit denen sie die partiellen Berechnungen durchführen können. Die Teilergebnisse
können dann in beliebigen Kombinationen zusammengeführt werden, ohne
daß Neuberechnungen durch die Teilnehmer notwendig werden. Damit sind
zwei der angesprochenen vier Mängel behoben. Das Problem einen fehlerhaften
Beitrag erkennen zu können wird ebenfalls gemildert, da alle zulässigen
Kombinationen getestet werden können (ohne weitere Beteiligung der eventuell
betrügerischen Teilnehmer). Bestehen bleibt die unbewiesene Sicherheit des
25